Компания «НТЦ ИТ РОСА» сообщила об успешном прохождении комплекса испытаний в системе сертификации ФСТЭК России и обновлении выданного ранее сертификата на платформу виртуализации ROSA Virtualization версии 2.1.

Согласно новым «Требованиям по безопасности информации к средствам виртуализации», утверждённым приказом ФСТЭК России № 187 и вступившим в силу 27 октября 2022 года, все программные продукты, реализующие функции средств виртуализации, должны быть сертифицированы по одному из шести классов защиты.

ROSA Virtualization 2.1 соответствует требованиям регулятора и является сертифицированным средством виртуализации четвёртого класса защиты. Платформа может быть использована в государственных организациях и на объектах критической информационной инфраструктуры для построения виртуальной инфраструктуры, обрабатывающей информацию ограниченного доступа, включая персональные данные.

По заверениям разработчика, ROSA Virtualization является первой в России системой управления виртуализацией, которая использует интегрированные средства защиты информации. Встроенные системы защиты закрывают семь из девяти обязательных требований, кроме межсетевого экранирования и антивирусной защиты. Задача межсетевого экранирования решена путём установки в систему продукта Netfilter c инструментом управления iptables, антивирусная защита реализована с помощью таких продуктов, как антивирус «Лаборатории Касперского» и Dr.Web Enterprise Security Suite.

Компания Postgres Professional провела оценку сертифицированных версий систем управления базами данных Postgres Pro Standard и Pro Enterprise согласно новым требованиям Федеральной службы по техническому и экспортному контролю по безопасности информации к СУБД от 14 апреля 2023 года, утверждённых Минюстом в июле 2023 года.

Утверждается, что Postgres Pro стала первой отечественной СУБД, сертифицированной по новым требованиям регулятора. Сертификат допускает использование программного комплекса для хранения и обработки данных в критической инфраструктуре первой категории и государственных информационных системах первого класса защищённости.

Ранее сертифицированные версии Postgres Pro в основном уже соответствовали новым требованиям ФСТЭК России и содержали необходимые механизмы защиты. Для полного соответствия новым требованиям в СУБД были доработаны некоторые команды и утилиты, ведены новые роли администратора и ограничены возможности суперпользователя, обновлена документация, а также усовершенствован модуль pg_proaudit, позволяющий регистрировать события, связанные с безопасностью.

Обновлённая версия Postgres Pro Certified поддерживает три версии ядра СУБД: 11.21.2, 14.9.2 и 15.4.2. Сертификат соответствия № 3637 переоформлен 20 октября 2023 г. Обновлённая редакция Postgres Pro Enterprise Certified поддерживает четыре версии ядра СУБД: 11.21.2, 13.12.3, 14.9.3 и 15.4.3. Сертификат соответствия № 4063, переоформлен 3 ноября 2023 г.

В октябре 2023 года Postgres Professional объявила о выпуске Postgres Pro Standard 16. Её сертифицированная ФСТЭК России версия появится после очередного инспекционного контроля. В декабре компания планирует мажорный релиз новой флагманской Postgres Pro Enterprise 16, в которую войдёт ряд новых крупных решений и доработок. В 2024 году запланирован выпуск очередной сертифицированной версии Postgres Pro Enterprise Certified.

Компания Makves (входит в группу компаний «Гарда») сообщила о прохождении сертификационных испытаний на соответствие стандартам информационной безопасности Республики Беларусь системы аудита и управления информационными активами Makves DCAP.

Сертификат, выданный Оперативно-аналитическим центром при президенте Республики Беларусь, подтверждает соответствие Makves DCAP требованиям информационной безопасности, предъявляемым к средствам защиты информации на государственном уровне. Продукт в полной мере отвечает требованиям технического регламента «Информационные технологии. Средства защиты информации. Информационная безопасность» (ТР 2013/027/BY) и указанным в нём государственным стандартам Республики Беларусь.

Архитектура программного комплекса Makves DCAP

Makves DCAP может использоваться в составе коммерческих и государственных информационных систем, за исключением класса 1 согласно СТБ 34.101.30−2017.

«В последнее время мы отмечаем повышенный интерес к нашему продукту на территории Республики Беларусь. В связи с этим было принято решение получить сертификат соответствия, чтобы предложить нашим партнёрам и заказчикам зрелое и уже зарекомендовавшее себя на российском рынке DCAP-решение», — прокомментировал событие директор по развитию компании Makves Дмитрий Петушков.

Предоставляющая облачные сервисы компания CloudMTS (входит в группу МТС) сообщила о получении заключения о соответствии требованиям российского стандарта безопасности финансовых операций ГОСТ Р 57580.1-2017.

Выполнение упомянутого стандарта является обязательным для работы банков и FinTech-организаций. Заключение о соответствии требованиям ГОСТа даёт CloudMTS возможность предоставлять финансовым организациям услуги виртуальной IT-инфраструктуры, в том числе аттестованной в соответствие со 152-ФЗ «О персональных данных», для размещения информационных систем, содержащих данные финансовых операций. ГОСТ был получен как на физическую инфраструктуру CloudMTS — два дата-центра в Москве и один в Санкт-Петербурге, так и на программное обеспечение и отдельные услуги провайдера для финансовых организаций.

Источник изображения: МТС

Помимо защиты информационных систем внутри своей инфраструктуры, CloudMTS также обеспечивает безопасность данных при их пересылке. Для этого в ЦОД, где развёрнуто облако, и в финансовой организации устанавливаются средства криптографической защиты информации (СКЗИ) — они шифруют данные при их передаче через сеть. СКЗИ в зависимости от требований банка могут быть в виде программно-аппаратного комплекса или в виде ПО.

Кроме соответствия ГОСТу Р 57580.1-2017, облако CloudMTS имеет защищённый сегмент, аттестованный по ФЗ-152, который позволяет размещать в нем государственные информационные системы и персональные данные. Также инфраструктура провайдера сертифицирована по международному стандарту безопасности PCI DSS, позволяющему хранить, обрабатывать и передавать данные банковских карт.

Разработчики ПО в России регулярно нарушают требования Федеральной службы по техническому и экспортному контролю (ФСТЭК) в плане соблюдения сроков устранения уязвимостей в своих продуктах. Как сообщает газета «Коммерсантъ», связано это в том числе с резким ростом спроса на отечественный софт в сложившейся геополитической обстановке.

Весной 2022 года ФСТЭК отозвала сертификацию у более чем 50 иностранных разработчиков, включая IBM, Microsoft, Oracle и др. Причиной послужила остановка технической поддержки российских заказчиков. Вместе с тем в рамках программы импотозамещения начали стремительно увеличиваться продажи отечественного ПО.

В соответствии с требованиями регламента включения информации об уязвимостях ПО в «Банк данных угроз безопасности информации» ФСТЭК разработчик в случае поступления информации о «дыре» должен принять меры по её устранению в течение 30–60 дней (в зависимости от степени угрозы). Это может быть выпуск патча, новой версии и пр. Однако всё чаще установленные сроки не соблюдаются.

Источник изображения: pixabay.com

Участники рынка говорят, что российские разработчики «отрабатывают инциденты» и вносят правки в ПО вдвое дольше, чем зарубежные. Между тем нарушение регламента ФСТЭК может обернуться отзывом сертификата на продукт. Сами разработчики связывают ситуацию с ростом спроса и загруженностью «всех уровней поддержки». Российские компании оказались не готовы к резкому увеличению запросов по обработке инцидентов после ухода западных поставщиков.

Ещё одна сложность заключается в том, что многие продукты с сертификатом ФСТЭК основаны на открытом коде, устранением уязвимостей в котором «занимается не конкретный разработчик, а сообщество». Поэтому устранение «дыр» в таком софте растягивается на месяцы.

Компания BI.ZONE сообщила о выпуске новой версии программного комплекса Compliance Platform, предназначенного для автоматизации выполнения требований законодательства по информационной безопасности (ИБ).

Благодаря новым функциям платформа BI.ZONE Compliance Platform позволяет организациям подготовить информационные системы персональных данных (ИСПДн) и государственные информационные системы (ГИС) к аттестации или переаттестации в соответствии с приказом ФСТЭК России № 77. Продукт формирует полный комплект подтверждающей документации и актуализирует его при любых изменениях IT-инфраструктуры.

Схема работы BI.ZONE Compliance Platform

С помощью BI.ZONE Compliance Platform предприятия могут оценить, насколько применяемые меры безопасности в корпоративных системах соответствуют требованиям законодательства. Программный комплекс анализирует данные об IT-инфраструктуре и на основе полученных сведений создаёт отчёт о соответствии требованиям таких нормативных актов, как приказы ФСТЭК России № 17 и № 21, постановление правительства № 1119, приказы ФСБ России № 378 и № 524. Ознакомиться с ними, а также другими приказами и постановлениями можно прямо на платформе.

Помимо оценки применяемых мер защиты на соответствие требованиям регуляторов, продукт обеспечивает формирование модели угроз — документа с перечнем актуальных угроз безопасности и аналитикой. Это позволяет компаниям проанализировать возможные риски и вероятность их реализации. Модель угроз автоматически обновляется и корректируется при изменении IT-инфраструктуры организации или законодательства.

Компания «Анлимитед Продакшен» сообщила о сертификации Федеральной службой по техническому и экспортному контролю программного комплекса eXpress по четвёртому уровню доверия.

Платформа eXpress представляет собой инструмент для коммуникаций в корпоративной среде. Решение поддерживает видеоконференции, обмен сообщениями и файлами, работу с электронной почтой, документами, календарём и различными встроенными сервисами. Программный комплекс поддерживает интеграцию с 70+ сторонними системами, такими как Active Directory, DLP, SIEM, а также содержит средства защиты данных и контроля доступа пользователей к конфиденциальной информации.

Источник изображения: express.ms

Четвёртый уровень сертификации ФСТЭК России является самым высоким уровнем доверия, предъявляемым к средствам защиты информации в информационных системах, не предназначенных для обработки сведений, составляющих государственную тайну.

Сертификат четвёртого уровня доверия допускает применение коммуникационной платформы eXpress на объектах критической информационной инфраструктуры первой категории, в автоматизированных системах управления технологическими и производственными процессами (АСУ ТП), государственных информационных системах первого класса защищённости и информационных системах персональных данных при обеспечении первого уровня защищённости обрабатываемой информации.

Научно-производственное объединение «Эшелон» сообщило об успешном прохождении сертификационных испытаний на соответствие стандартам Министерства обороны Российской Федерации обновлённого программно-аппаратного комплекса «Рубикон», выполняющего функции межсетевого экранирования и обнаружения компьютерных атак.

Выданным ведомством сертификат подтверждает, что система «Рубикон» соответствует требованиям приказа Министра обороны РФ по 2 уровню контроля отсутствия недекларированных возможностей согласно руководящему документу «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999 г.).

Программно-аппаратный комплекс «Рубикон» может применяться на объектах Вооружённых сил Российской Федерации для защиты автоматизированных систем специального и военного назначения, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, имеющую степень секретности до «совершенно секретно» включительно.

Программная составляющая платформы «Рубикон» включена в реестр отечественного ПО и рекомендована для использования в российских государственных и коммерческих организациях. Также в активе комплекса имеется сертификат ФСТЭК России.

Компания «Киберпротект» сообщила о сертификации Федеральной службой по техническому и экспортному контролю программного комплекса «Кибер Бэкап» 16, предназначенного для резервного копирования IT-систем любой сложности.

Выданный ФСТЭК России сертификат подтверждает, что «Кибер Бэкап» является программным средством резервного копирования и восстановления информации, не содержащим сведений, составляющих государственную тайну, и соответствует требованиям доверия 4 уровня и технических условий.

Сертифицированный программный комплекс «Кибер Бэкап» 16 может использоваться в значимых объектах критической информационной инфраструктуры (КИИ) 1 категории, в государственных информационных системах (ГИС) 1 класса защищённости, в автоматизированных системах управления производственными и технологическими процессами (АСУ ТП) 1 класса защищённости, в информационных системах персональных данных (ИСПДн) при необходимости обеспечения 1 уровня защищённости персональных данных и в информационных системах общего пользования II класса.

«Кибер Бэкап» также включён в реестр отечественного ПО Минцифры России и может применяться для обеспечения государственных и муниципальных нужд, а также в целях импортозамещения.

Федеральная служба по техническому и экспортному контролю приостановила действие сертификата соответствия от 27 января 2016 г. № 3509 на программный комплекс Dr.Web Enterprise Security Suite, предназначенный для централизованной защиты узлов корпоративной IT-инфраструктуры. Об этом сообщается на сайте компании-разработчика продукта «Доктор Веб».

Действие сертификата приостановлено 8 сентября 2023 года сроком на 90 календарных дней, говорится в заявлении пресс-службы «Доктор Веб».

Источник изображения: drweb.ru

О причинах принятого ФСТЭК России решения не сообщается. Действие сертификата может быть приостановлено в случае, если в программном обеспечении были обнаружены какие-либо недоработки, уязвимости или незадекларированные возможности, а также если продукт не соответствует требованиям ведомства по безопасности обрабатываемой информации.

В пресс-службе «Доктор Веб» отметили, что техническая поддержка ранее проданных версий Dr.Web Enterprise Security Suite продолжает оказываться производителем, и их использование никак не ограничивается нормативными документами и положениями регулятора. Временно приостановлена только продажа новых лицензий продукта. «Мы работаем над исправлением несоответствий и ожидаем разрешения ситуации в ближайшее время», — добавили в компании.

[Обновлено] Компания «Доктор Веб» сообщила о получении уведомления ФСТЭК России о том, что действие сертификата соответствия от 27 января 2016 г. № 3509 на Dr.Web Enterprise Security Suite возобновлено и действует, как и ранее до 27 января 2024 года. «Мы продолжаем реализацию и техническую поддержку продукта Dr.Web Enterprise Security Suite в полном объёме. Временная приостановка сертификата никак не повлияла на безопасность наших клиентов», — говорится в заявлении разработчика.